Contas de plataformas de jogos deixaram há muito de ser apenas uma lista de títulos comprados: guardam métodos de pagamento, itens virtuais com valor real de mercado, sessões abertas e, muitas vezes, o mesmo endereço de e-mail usado no banco ou no trabalho. É por isso que investigadores de segurança, incluindo os laboratórios da ESET, têm vindo a documentar campanhas que usam mods, cheats, “otimizadores” e até jogos publicados em lojas legítimas para instalar infostealers — malware desenhado para copiar credenciais, cookies e dados de pagamento. Em 2026, o problema ganhou nova dimensão: o FBI abriu um apelo público a vítimas de jogos com código malicioso distribuídos através do Steam.
Resposta rápida: Os jogadores são alvo preferencial de infostealers distribuídos por cheats, mods, ficheiros partilhados em Discord e até por títulos publicados em lojas oficiais. O objetivo é roubar palavras-passe, cookies de sessão, dados de cartão e carteiras de criptomoedas, revendendo depois contas e “logs” em mercados criminosos. Ative autenticação em dois fatores em todas as contas de jogos e no e-mail associado, evite executáveis de origem não oficial e, em caso de suspeita de infeção, mude palavras-passe e termine todas as sessões ativas depois de limpar o equipamento.
Porque é que uma conta de jogos é um alvo apetecível
A resposta é económica. Uma conta com anos de compras, itens raros ou moeda virtual tem valor de revenda imediato, e os dados que arrasta consigo valem ainda mais. As contas de jogos contêm frequentemente dados de pagamento, itens digitais valiosos e acesso a criptomoedas, o que as torna atrativas para os cibercriminosos.
Do lado do atacante, o instrumento é quase sempre o mesmo: um infostealer. Trata-se de malware que, depois de infetar o computador, começa a exfiltrar informação do equipamento comprometido, incluindo credenciais guardadas nos navegadores e dados financeiros. Uma vez recolhidos, esses conjuntos de dados são empacotados e vendidos em fóruns criminosos, alimentando fraudes posteriores.
Mods, cheats e repositórios: o vetor mais explorado
A investigação da ESET tem apontado repetidamente para o ecossistema de modificações e batotas como porta de entrada. Os jogadores encontram online uma multiplicidade de cheats, como wall hacks ou aimbots, que estão muitas vezes carregados de malware, expondo dados pessoais a infostealers como o RedLine Stealer ou o Lumma Stealer, cuja atividade a telemetria da ESET confirma.
Um dos casos mais ilustrativos envolve a cadeia de confiança das próprias plataformas. A ESET detetou o Epsilon Stealer (identificado como variantes JS/PSW.Agent .CH e .CI) num mod popular do jogo Slay the Spire, distribuído através do sistema de atualizações do Steam depois de terem sido comprometidas contas de programadores no Steam e no Discord; uma vez instalado, procura exfiltrar cookies, palavras-passe guardadas e dados de cartão de crédito dos navegadores, além de credenciais do Steam, do Windows e de outras contas.
O padrão repete-se noutros contextos: investigadores da ESET encontraram vários repositórios no GitHub que alegavam oferecer bots e auto-clickers para acelerar o progresso no Hamster Kombat, mas que na realidade escondiam uma variante do Lumma Stealer. O denominador comum é sempre o mesmo — a promessa de vantagem, gratuitidade ou acesso antecipado.
Quando a ameaça chega pela loja oficial
O aspeto mais desconfortável destas campanhas é que já não basta “só descarregar de sítios oficiais”. O FBI anunciou estar à procura de vítimas cujos computadores possam ter sido infetados após descarregarem jogos com software malicioso, indicando que o agente de ameaça terá visado sobretudo utilizadores entre maio de 2024 e janeiro de 2026, e listando títulos como BlockBlasters, Chemia, Dashverse, DashFPS, Lampy, Lunara, PirateFi e Tokenova.
O caso PirateFi tinha já servido de aviso: o título foi retirado em fevereiro de 2025 por estar infetado com o infostealer Vidar, depois de ter estado disponível quase uma semana e de registar entre 800 e 1500 descargas. Mais recentemente, foram reportados casos de títulos que se transformam em malware após uma atualização: segundo relatos, o jogo Beyond The Dark continha malware escondido num ficheiro DLL, tendo sido posteriormente removido do Steam, e visaria dados do navegador, palavras-passe guardadas, informação de sessão e carteiras de criptomoedas.
| Momento | Facto documentado |
|---|---|
| Fevereiro de 2025 | PirateFi retirado do Steam por conter o infostealer Vidar, com 800 a 1500 descargas estimadas |
| Maio de 2024 a janeiro de 2026 | Janela temporal em que, segundo o FBI, o agente de ameaça terá visado sobretudo utilizadores de vários títulos |
| 2026 | FBI publica apelo a vítimas de jogos com malware distribuídos no Steam |
| Maio de 2026 | Relatos de malware escondido numa DLL no jogo Beyond The Dark, posteriormente removido |
Engenharia social: o clique que faz o trabalho todo
Muitas destas infeções nem sequer exigem uma vulnerabilidade: exigem apenas que a vítima execute algo. É o caso da técnica ClickFix, assente em falsas mensagens de erro que instruem o utilizador a copiar e colar um comando. A ESET indica que as deteções desta técnica cresceram 108% entre o segundo semestre de 2025 e o primeiro semestre de 2026, com variantes como a AI-fix, que explora a confiança em ferramentas de IA generativa, a CrashFix, que recorre a extensões de navegador e falsos avisos, e a ConsentFix, que combina a interação ao estilo ClickFix com abuso de OAuth para sequestrar contas na nuvem sem sequer roubar credenciais.
O phishing com códigos QR seguiu o mesmo caminho: o primeiro semestre de 2026 registou níveis recorde deste tipo de fraude na telemetria da ESET, com uma média de 100 mil deteções por mês, um pico em abril e códigos QR presentes em cerca de 11% dos e-mails de phishing detetados. Num ambiente de jogo — onde promoções, códigos de resgate e convites circulam constantemente — este tipo de isco encaixa com naturalidade.
Há, ainda assim, sinais positivos do lado da resposta. Em junho de 2026, a ESET participou na desarticulação da botnet Amadey e do infostealer Stealc — ambos operados em modelo de malware as a service —, numa operação coordenada pela Microsoft Digital Crimes Unit, BitSight, Lumen e MBSD, dirigida a toda a infraestrutura de rede conhecida usada pelos afiliados.
O que fazer, na prática
- Ative a autenticação em dois fatores nas contas de jogo e no e-mail associado — sem isso, a recuperação da conta pelo atacante é trivial.
- Desconfie de executáveis e ficheiros comprimidos com cheats, mods, trainers ou “otimizadores” partilhados em Discord, fóruns ou repositórios de código.
- Nunca cole comandos em
PowerShell,Executarou no terminal por instrução de uma página que alega um erro ou uma verificação. - Não guarde dados de cartão no navegador nem nas lojas; prefira métodos com autorização por aplicação bancária.
- Se suspeitar de infeção, limpe o equipamento primeiro, só depois mude as palavras-passe e termine todas as sessões ativas — cookies roubados permitem contornar a simples troca de palavra-passe.
- Separe contextos: não use o e-mail profissional nem palavras-passe reutilizadas em plataformas de jogo.
Porque é que isto também interessa às empresas em Portugal
Pode parecer um tema exclusivamente doméstico, mas não é. Muitos computadores usados para jogar são os mesmos onde se acede a correio profissional, VPN ou aplicações de trabalho — e um infostealer não distingue contextos. Esta ligação está identificada ao nível nacional: entre as conclusões da 6.ª edição do Relatório de Cibersegurança “Riscos & Conflitos” do CNCS, as tendências emergentes apontam para a intensificação da ameaça dos infostealers e da comercialização de credenciais, bem como para o uso ofensivo de ferramentas de inteligência artificial generativa. O mesmo documento assinala um aumento significativo dos incidentes no ciberespaço de interesse nacional, num ano marcado por ransomware, ataques de negação de serviço e fugas de credenciais.
O Observatório de Cibersegurança do CNCS reforçou entretanto esse enfoque: a edição de 2026 do relatório sobre a Sociedade passou a centrar-se na resiliência da sociedade portuguesa face às ciberameaças, organizada em três dimensões — o estado da ameaça, a superfície de ataque e a ciber-resiliência. Credenciais domésticas comprometidas são exatamente isso: superfície de ataque.
Para organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a higiene de credenciais, a autenticação multifator e a sensibilização dos utilizadores são medidas de gestão de risco expectáveis, e um comprometimento originado num equipamento pessoal pode desembocar num incidente notificável ao CERT.PT. Se dados pessoais forem expostos, aplica-se ainda o RGPD, com as obrigações de notificação à CNPD e, quando o risco for elevado, de comunicação aos titulares. Para as PME, a lição é simples: uma conta de jogos roubada raramente fica confinada ao jogo.
Perguntas frequentes
Basta mudar a palavra-passe depois de uma infeção?
Não. Os infostealers copiam também cookies e tokens de sessão, que permitem acesso sem introduzir credenciais. É necessário limpar o equipamento, mudar as palavras-passe a partir de um dispositivo seguro e terminar todas as sessões ativas em cada serviço.
Descarregar apenas de lojas oficiais é seguro?
Reduz muito o risco, mas não o elimina. Foram documentados casos de títulos e atualizações com código malicioso publicados em lojas legítimas, e o FBI chegou a divulgar um apelo a vítimas de jogos distribuídos através do Steam.
Porque é que os cheats e mods são tão perigosos?
Porque exigem que o utilizador execute ficheiros de origem não verificada e, muitas vezes, que desative proteções de segurança. A ESET tem identificado infostealers como o RedLine e o Lumma escondidos neste tipo de conteúdos.
Isto tem implicações para empresas?
Sim. Se o equipamento infetado tiver acesso a recursos profissionais, as credenciais roubadas podem servir de porta de entrada. O CNCS identificou os infostealers e a venda de credenciais como tendência relevante para o ciberespaço nacional.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela ESET, pelo FBI, pelo CNCS e por outros investigadores de segurança.